Tailscale SSH、ユーザー名「-i」での接続でルート権限を付与

Tailscaleは、同社のSSHサーバがユーザー名をそのままLinuxのgetentの引数として渡してしまう脆弱性（TS-2026-009）を公表した。これにより、「-i」というユーザー名でログインすると「--no-idn」として解析されてpasswdファイル全体が出力され、autogroup:nonrootのACLを回避して対話型のルートセッションが開始される状態となっていた。修正版はTailscale 1.98.9で提供されており、それ以前のすべてのバージョンが影響を受ける。これは典型的な引数インジェクションのバグであり、CLIに渡されるユーザー入力文字列には先頭のハイフンに対する保護が必要という、開発者が自身のargv処理で今すぐ監査すべきクラスの問題である。

出典： tailscale.com ↗

ユーザーが「-i」というユーザー名で接続した場合、これは「--no-idn」と解釈され、getentはrootユーザーから始まるpasswdファイルの内容全体を出力し、その結果、Tailscaleが対話型のrootセッションを開くことになっただろう

Tailscale (TS-2026-009)

なぜ重要か

→ Argument injectionはSSH ACLを回避し、制限されたユーザーにrootアクセスを許可する
→ 典型的なCLIパースのバグであり、開発者が今日監査できる同じ脆弱性クラスだ
→ Tailscaleのバージョン1.98.9以前のすべてに影響する。修正は極めて簡単で、先頭のダッシュを拒否するだけだ

SSHにおけるArgument injection